Het veiligheidslichtscherm is niet verplaatst. De grens waar het nog als veilig mocht worden beschouwd wél. Dat is de kern bij de afstand van het veiligheidslichtscherm na een wijziging van F_WD_TIME.
In een SIMATIC S7-1500F, geconfigureerd in TIA Portal V18, werd F_WD_TIME verhoogd van ongeveer 150 ms naar ongeveer 500 ms. Dat hoeft geen ontwerpfout te zijn. De PROFIsafe-bewakingstijd is geen universele waarde. Hij moet passen bij de echte communicatieconfiguratie, de cycli van het safetyprogramma en de gebruikte F-apparaten.
Het probleem begint wanneer zo’n wijziging alleen wordt gezien als een communicatiecorrectie, zonder opnieuw te controleren wat dit doet met de hele veiligheidsfunctie.
Zoek in die twee getallen dus geen recept. De waarden zijn afgerond voor deze casus en zijn geen universele instellingen die Siemens adviseert.
In dit geval kwam de impact pas boven water bij hernieuwde validatie. De uitlooptijdmeting bepaalde de werkelijke tijd tot het verdwijnen van de gevaarlijke beweging. De berekening van de maximale reactietijd hield rekening met de actuele configuratie van het veiligheidssysteem. Toen beide waarden correct werden gecombineerd en de afstand volgens ISO 13855 opnieuw werd bepaald, bleek het veiligheidslichtscherm te dicht bij de gevarenzone te staan. Er ontbrak meer dan een halve meter.
De schaal zie je direct in S = (K × T) + C. Als de totale tijd T met 350 ms stijgt, neemt de vereiste afstand bij K = 1600 mm/s toe met 560 mm. Het verschil in F_WD_TIME hoeft niet één-op-één in de totale tijd terecht te komen. Precies daarom zijn de berekening en meting van de volledige functie beslissend.
Voor die extra halve meter was er geen ruimte. Het veiligheidslichtscherm kon niet verder weg. Dus moest de beveiligingsmaatregel veranderen. Er kwam een transparante afscherming met blokkeerinrichting en vergrendeling, het veiligheidsgerelateerde besturingssysteem werd aangepast en voor de nieuwe veiligheidsfuncties werd PLr = d vastgesteld.
Vanaf dat moment gaat dit verhaal niet meer over één parameter in TIA Portal. Een wijziging van F_WD_TIME kan een hele keten starten: van een nieuwe berekening van de reactietijd, via een andere beveiligingsmaatregel, tot de vraag of sprake is van een substantiële wijziging en wie de verplichtingen van fabrikant overneemt.
F_WD_TIME 500 ms: verkeerde waarde of verkeerd beoordeelde afstand van het veiligheidslichtscherm?
De beoordeling van zo’n wijziging begint snel met argwaan:
- Wie verhoogt een watchdog van 150 naar 500 ms?
- Dit is toch een parameter van een veiligheidsfunctie?
- Probeert iemand hiermee communicatieproblemen te maskeren?
Logische vragen. Maar geen van deze vragen bewijst of het veiligheidslichtscherm nog op een veilige afstand staat.
De juiste vraag is: wat heeft de wijziging van F_WD_TIME gedaan met de maximale reactietijd en met de vereiste afstand van het veiligheidslichtscherm?
Waarom heeft F_WD_TIME niet één juiste waarde?
F_WD_TIME heeft niet één correcte waarde voor alle installaties. Een te korte bewakingstijd kan leiden tot passivering van F-apparaten, terwijl de communicatie technisch foutloos werkt. In een uitgebreidere configuratie tellen onder andere de F-CPU-cycli, netwerkupdates, gebruikte apparaten en de PROFIsafe-architectuur mee.
Je kunt dus een verkeerd gekozen 150 ms hebben en een correct gekozen 500 ms. Je kunt ook een correcte 150 ms hebben en een volledig ongefundeerde 500 ms. Het getal alleen geeft geen antwoord.
Siemens beschrijft twee eisen die tegelijk moeten kloppen. De bewakingstijd moet lang genoeg zijn om bij foutloze werking niet te worden overschreden, maar kort genoeg om de veiligheidstijd van het proces niet te overschrijden.
Een hogere instelling kan dus de beschikbaarheid van de machine verbeteren. Maar dat bewijst nog niet dat de machine snel genoeg reageert en dat de bestaande beveiligingsmaatregel effectief blijft.
Hier werd F_WD_TIME verhoogd van ongeveer 150 naar ongeveer 500 ms. Technisch kan dat verdedigbaar zijn door de eisen van de specifieke configuratie. Vanuit machineveiligheid moest de hele functie opnieuw worden gecontroleerd.
Het probleem hoeft niet de watchdogwaarde zelf te zijn. Het probleem begint wanneer je na die wijziging blijft werken met oude berekeningen, een oud meetrapport en een oude afstand.
Waarom niet gewoon terug naar 150 ms?
Dit is de eerste vraag die op tafel hoort zodra de validatie uitwijst dat het veiligheidslichtscherm te dicht bij de gevarenzone staat: als het bij 500 ms niet past, zetten we toch gewoon weer 150 ms?
Als de kortere waarde nog steeds past bij de echte PROFIsafe-configuratie, kan dat correct zijn. Je bouwt geen machine om alleen om een onnodig lange watchdog te behouden.
Maar het wordt anders wanneer 150 ms onvoldoende reserve geeft voor de actuele F-CPU-cycli, apparaten en communicatie. Teruggaan naar de oude waarde maakt de afstandsberekening mooier, maar lost de oorzaak van de parameterwijziging niet op.
De afstand van het veiligheidslichtscherm volgt uit de reactietijd. De reactietijd kies je niet op basis van de vrije ruimte in de hal.
Eerst moet je controleren of F_WD_TIME korter kan, of andere onderdelen van de reactietijd kunnen worden verminderd en of de mechanische stoptijd korter kan. Pas als die opties zijn uitgesloten, blijven er twee routes over: het veiligheidslichtscherm verder weg plaatsen of de beveiligingsmaatregel wijzigen.
Voor die extra halve meter was geen ruimte. Het probleem was dus niet af te sluiten met alleen een nieuwe instelling. De beveiligingsfilosofie moest veranderen.
Hoe bereken je de minimale afstand van het veiligheidslichtscherm?
Tot dit punt kun je nog discussiëren over de PROFIsafe-configuratie. Was 150 ms correct? Was 500 ms noodzakelijk? Kon de cyclus korter of de communicatie robuuster?
Het antwoord komt pas uit een consistente validatie. De berekening van de maximale reactietijd laat zien hoe het besturingsdeel reageert, ook voor de aangenomen foutscenario’s. De uitlooptijdmeting laat zien wanneer de gevaarlijke beweging werkelijk verdwijnt. De grenzen van beide waarden moeten helder zijn, zodat je niets vergeet en niets dubbel telt.
De meetopzet moet passen bij het geanalyseerde scenario. Een typische meting die start door onderbreking van het veiligheidslichtscherm bij correcte communicatie bevestigt de gezonde reactieketen en hoeft de wachttijd tot F_WD_TIME niet te bevatten. De invloed van de watchdog op de maximale reactieketen moet dan worden aangetoond via berekening van de tijden in het veiligheidssysteem en worden gecombineerd met de meting van het verdwijnen van de beweging.
Alleen zeggen dat de machine is gestopt, is hier bijna waardeloos. De vraag is: stopte hij voordat een mens het gevaar kon bereiken?
ISO 13855 beantwoordt die vraag door tijd om te rekenen naar afstand:
S = (K × T) + C
Als de overige onderdelen gelijk blijven, kun je de invloed van een verandering in totale tijd weergeven als:
ΔS = K × ΔT
| Toename berekende maximale tijd ΔT | Toename afstand bij K = 1600 mm/s | Illustratieve toename bij K = 2000 mm/s |
|---|---|---|
| 100 ms | 160 mm | 200 mm |
| 350 ms | 560 mm | 700 mm |
ΔT betekent hier het verschil tussen twee berekeningen van de maximale reactietijd. Het is dus niet automatisch hetzelfde als het verschil tussen twee F_WD_TIME-instellingen. De waarde K = 2000 mm/s laat alleen de wiskundige schaal zien. De juiste variant voor het project moet worden gekozen volgens ISO 13855, niet volgens de uitkomst die het beste uitkomt.
Je mag geen gunstigere K kiezen omdat de uitkomst kleiner is. De rekenvariant, de waarde C en de overige voorwaarden volgen uit de naderingsrichting, het detectievermogen en de eisen van ISO 13855 voor de concrete toepassing.
Dit is ook geen marge die je naar smaak afrondt. Dit is de afstand die aanwezig moet zijn tussen het detectieveld van het veiligheidslichtscherm en de gevarenzone.
Welke meetwaarde neem je?
Eén meting is niet genoeg. In de informatieve bijlage van de ISO 13855-editie die in deze casus werd gebruikt, worden ten minste 10 metingen genoemd. Die metingen voer je uit onder geïdentificeerde omstandigheden die leiden tot de langste realistische tijd tot het verdwijnen van het gevaar. Afhankelijk van de machine kunnen snelheid, belasting, cyclusfase, temperatuur en de staat van remmende of stoppende componenten bepalend zijn.
Welke waarde neem je dan?
Niet de mooiste. Niet het gemiddelde. Niet de waarde waarmee het bestaande veiligheidslichtscherm kan blijven staan.
Volgens de methode uit die bijlage gebruik je voor de afstandsbepaling de grootste van twee waarden: de langste gemeten tijd of het gemiddelde plus drie standaardafwijkingen.
Wat omvat de stoptijdmeting precies?
Let ook scherp op de meetgrenzen. Als het meetinstrument de volledige tijd meet vanaf het aanspreken van de beveiliging tot het stoppen van de beweging, mag je dezelfde onderdelen niet nog een keer uit een calculator toevoegen. Meet je alleen het mechanische deel van het stoppen, dan moet de berekende eerdere reactietijd van de keten wél worden toegevoegd.
De combinatie van reactietijdberekening en uitlooptijdmeting leidde hier tot één conclusie: de vereiste afstand van het veiligheidslichtscherm nam met meer dan een halve meter toe.
Alleen: die halve meter was er niet.
Het veiligheidslichtscherm werkte correct. Toch moest het weg
Dat klinkt tegenstrijdig, maar is het niet. Het veiligheidslichtscherm detecteerde de aanwezigheid van een persoon en gaf een stopcommando. Het probleem zat niet in het apparaat. Het probleem zat in de afstand tot de gevarenzone.
Een veiligheidslichtscherm houdt een mens niet fysiek tegen. Het detecteert betreden en geeft de machine een stopsignaal. Het concept werkt alleen wanneer de gevaarlijke beweging verdwenen is voordat de persoon het gevaar kan bereiken.
Waarom dwong ruimtegebrek tot een andere beveiligingsmaatregel?
Wat doe je als meting en berekening aantonen dat je 560 mm extra nodig hebt, maar de hal geen millimeter meer geeft?
ISO 12100 dwingt je terug naar het iteratieve proces van risicoreductie. Eerst opnieuw kijken naar inherent veilige oplossingen, waaronder het verkorten van reactietijd en stoptijd. Als dat onvoldoende is, kies je een technische beveiligingsmaatregel die past bij de werkelijke omstandigheden.
Gebrek aan ruimte verandert de uitkomst van ISO 13855 niet.
In deze casus veranderde het beschermingsprincipe. Het veiligheidslichtscherm, dat het betreden van de zone detecteerde, werd vervangen door een transparante afscherming die betreden moest voorkomen.
Transparante panelen maakten het proces zichtbaar, maar ze waren geen decoratie. Constructie, sterkte en bevestiging van de afscherming werden beoordeeld volgens ISO 14120. De afscherming mocht geen nieuwe knelpunten of scherpe randen creëren. De mogelijkheid om door, over of onder de constructie heen te reiken moest worden beoordeeld met ISO 13857.
Waarom een afscherming met blokkeerinrichting en vergrendeling?
Er bleef toegang nodig voor bediening en onderhoud. Waarom volstond een gewone afscherming met blokkeerinrichting dan niet?
Het openen van een afscherming met blokkeerinrichting veroorzaakt een stop, maar verhindert niet dat de deur direct opengaat. Als de gevaarlijke beweging pas na enige tijd verdwijnt, kan de operator de zone bereiken voordat de machine werkelijk stilstaat.
De noodzaak van vergrendeling volgt niet alleen uit het bestaan van uitloop. Beslissend is de vergelijking tussen de tijd tot het verdwijnen van het gevaar en de tijd die nodig is om toegang te krijgen, plus de uitkomst van de risicobeoordeling. In dit geval moest de afscherming gesloten blijven vanaf het toegangsverzoek tot het risico verdwenen was. Pas daarna mocht het systeem de vergrendeling vrijgeven en openen toestaan. ISO 14119 beschrijft de keuze van blokkeerinrichtingen, vergrendeling en maatregelen tegen omzeilen.
De vervanging van het veiligheidslichtscherm door een afscherming met blokkeerinrichting en vergrendeling was dus geen simpele componentwissel. Er moesten nieuwe veiligheidsfuncties worden gebouwd:
- stoppen van beweging na een toegangsverzoek;
- voorkomen van starten bij geopende afscherming;
- vasthouden van de vergrendeling tot het risico verdwenen is;
- vrijgeven van de vergrendeling pas na bevestiging van de vereiste voorwaarden;
- voorkomen van onverwachte herstart.
PLr = d geldt voor de veiligheidsfunctie, niet voor de afscherming zelf
Voor elke geïdentificeerde functie werd het vereiste PLr bepaald op basis van de risicobeoordeling. In deze casus werd voor de functies die dit risico moesten reduceren PLr = d gekozen. Daarna werden de veiligheidsgerelateerde delen van het besturingssysteem zo ontworpen dat de behaalde PL ten minste gelijk was aan PLr. De functies werden geverifieerd en gevalideerd volgens ISO 13849-1.
Dat betekent niet dat de afscherming zelf PL d had. Het prestatieniveau hoort bij de volledige functie: van positiesensor en vergrendelstatus, via de logica in de besturing, tot het uitvoerende element dat de beweging stopt. De markering op één schakelaar bewijst niet het niveau van het complete systeem.
Zo leidde één instelling tot een nieuwe afscherming, nieuwe veiligheidsfuncties, aanpassing van het safetyprogramma en nieuwe validatie.
En dan komt de volgende vraag: is de partij die dit ombouwt nog alleen gebruiker, of neemt zij al verplichtingen van fabrikant over?
Van digitale wijziging naar substantiële wijziging
Op het eerste gezicht lijkt het antwoord simpel. Het veiligheidslichtscherm werd vervangen door een afscherming met blokkeerinrichting en vergrendeling, het safetyprogramma werd aangepast en er kwamen nieuwe veiligheidsfuncties bij. Grote scope, dus substantiële wijziging.
Verordening (EU) 2023/1230 kijkt echter niet naar het aantal gewijzigde onderdelen. Niet naar hoeveel meter afscherming is toegevoegd. Niet naar hoeveel programmablokken zijn aangepast. De vraag is wat de wijziging doet met veiligheid.
Hoe beoordeel je de voorwaarden van de Verordening?
Voor deze route moet je samen vaststellen:
- of na het in de handel brengen of in gebruik nemen van de machine een fysieke of digitale wijziging is aangebracht;
- of die wijziging niet door de fabrikant van de machine was voorzien of gepland;
- of daardoor een nieuw gevaar ontstond of een bestaand risico toenam;
- of toevoeging van een afscherming of beveiligingsinrichting nodig was;
- of de werking van die maatregel wijziging van het bestaande veiligheidsgerelateerde besturingssysteem vereiste.
Alleen F_WD_TIME wijzigen bewijst nog geen substantiële wijziging. Maar de wijziging kan wel aan de voorwaarden voldoen als de hele keten in de risicobeoordeling wordt bevestigd.
In deze casus was het startpunt een digitale wijziging aan een machine in bedrijf. Hernieuwde validatie liet zien dat de bestaande afstand van het veiligheidslichtscherm niet langer de beoogde risicoreductie waarborgde. Veiligheid kon niet worden hersteld door het veiligheidslichtscherm te verplaatsen. De nieuwe afscherming met blokkeerinrichting en vergrendeling vroeg om aanpassing van functies in het veiligheidssysteem.
Die keten past bij het mechanisme van een substantiële wijziging zoals beschreven in de Verordening:
digitale wijziging → hoger risico → nieuwe beveiligingsmaatregel → aanpassing bestaand veiligheidssysteem
Eén voorwaarde mag je niet invullen op basis van alleen de omvang van het werk: was deze wijzigingsvariant voorzien of gepland door de fabrikant?
Als de fabrikant deze variant al had meegenomen in de oorspronkelijke risicobeoordeling, documentatie en instructies, kan het een wijziging binnen de voorziene configuratie zijn. Als dat niet zo is en de overige voorwaarden zijn vervuld, kan de casus worden gekwalificeerd als substantiële wijziging.
Wanneer neemt een partij verplichtingen van fabrikant over?
Als alle voorwaarden zijn vervuld, beschouwt art. 18 van Verordening (EU) 2023/1230 de natuurlijke of rechtspersoon die de substantiële wijziging uitvoert als fabrikant voor de toepassing van die Verordening. De verplichtingen gelden voor de machine of het verwante product dat door de wijziging wordt geraakt. Bij een samenstel van machines gaat het om het product dat volgens de risicobeoordeling door de wijziging wordt beïnvloed.
Dat stopt niet bij een nieuwe risicobeoordeling en validatie. Fabrikantenverplichtingen omvatten ook het opstellen van technische documentatie, het uitvoeren van de juiste conformiteitsbeoordelingsprocedure, het opstellen van de EU-conformiteitsverklaring, het aanbrengen van de CE-markering, het leveren van instructies en identificatie, en het bewaren van technische documentatie en EU-conformiteitsverklaring gedurende ten minste 10 jaar.
De Verordening is op 19 juli 2023 in werking getreden, maar de kernbepalingen over substantiële wijziging gelden vanaf 20 januari 2027. Een ombouw die eerder is uitgevoerd, kwalificeer je niet met terugwerkende kracht volgens deze artikelen. Dan gelden de regels die van toepassing waren op het moment van de wijziging.
De Machinerichtlijn 2006/42/EG bevatte geen wettelijke definitie van substantiële wijziging of ingrijpende modernisering. Die tweede term werd in de praktijk wel gebruikt. De officiële gids van de Commissie wees op de noodzaak om te beoordelen of de omvang van de omvorming in feite neerkwam op het bouwen van een nieuwe machine.
Meer over de juridische toets staat in Substantiële wijziging — wanneer is daar echt sprake van?. Je kunt ook de voorwaarden voor een substantiële wijziging stapsgewijs controleren.
Hoe ver reikt de scope van een substantiële wijziging?
Na de woorden verplichtingen van fabrikant schiet men vaak naar één van twee uitersten.
Uiterste één: we moeten de conformiteitsbeoordeling en documentatie van de hele lijn opnieuw doen.
Uiterste twee: we hebben alleen een veiligheidslichtscherm vervangen door een afscherming, dus we documenteren alleen de nieuwe deur en vergrendeling.
Beide antwoorden kunnen fout zijn.
Overweging 26 van Verordening (EU) 2023/1230 maakt duidelijk dat degene die een substantiële wijziging uitvoert niet verplicht zou moeten zijn om tests te herhalen of nieuwe documentatie op te stellen voor machines of verwante producten die deel uitmaken van een samenstel van machines en waarop de wijziging geen invloed heeft.
Maar dat beperkt de verplichtingen niet voor de machine of het product dat wél door de wijziging wordt geraakt.
De scope bepaal je niet met de projectnaam, de grens van de schakelkast of de plek waar de nieuwe afscherming staat. De scope volgt uit de risicobeoordeling.
Je moet dus veel meer controleren dan alleen de deurconstructie:
- welk deel van de lijn stopt bij openen van de afscherming;
- of de grenzen van stopzones zijn veranderd;
- of andere machines nog gevaarlijke bewegingen kunnen uitvoeren;
- waar de reset zit en wat de operator vanaf die plek kan zien;
- of na sluiten van de afscherming onverwachte herstart mogelijk is;
- of iemand tussen afscherming en gevarenzone kan achterblijven;
- of de wijziging invloed heeft op interfaces tussen machines.
Als de risicobeoordeling aantoont dat de substantiële wijziging alleen de veiligheid van één machine of één verwant product binnen een samenstel raakt, kan art. 18 toelaten dat de fabrikantenverplichtingen tot dat product worden beperkt.
Maar als gemeenschappelijke toegang, stop, reset, herstart of communicatie tussen zones is gewijzigd, kun je niet volhouden dat de wijziging alleen over één deur gaat.
Machine of geïntegreerd productiesysteem?
Als de installatie een geïntegreerd productiesysteem is met ten minste twee onderling verbonden machines voor een specifieke toepassing, komt ISO 11161 in beeld voor interfaces en onderlinge beïnvloeding van veiligheidsfuncties. Afzonderlijke machines kunnen conform en goed beveiligd zijn, terwijl door de koppeling of wijziging van een gemeenschappelijke beveiligingsmaatregel toch een nieuw risico op systeemniveau ontstaat.
De juiste vraag is dan: hoe ver reikt de invloed van de ombouw op veiligheidsfuncties, zones en interfaces?
Welke documenten en bewijzen moet je actualiseren?
Voor machines of verwante producten binnen het samenstel die niet door de wijziging zijn geraakt, hoef je geen tests te herhalen en geen nieuwe documentatie op te bouwen. In de documentatie van het gewijzigde product kun je eerdere bewijzen gebruiken als ze nog actueel en relevant zijn. Het geheel moet wel coherent aantonen dat de machine of het product waarvoor fabrikantenverplichtingen gelden, conform is.
Dat betekent niet altijd dat elk document vanaf nul moet worden gemaakt. Je moet wel een complete en samenhangende technische documentatie opstellen voor het product waarop de verplichtingen betrekking hebben. Daarin leg je vast welke eerdere bewijzen geldig blijven, welke zijn bijgewerkt en waarom de wijziging geen invloed heeft op overige machines of producten in het samenstel.
De grens van de fabrikantenverplichtingen ligt niet waar de nieuwe afscherming eindigt. Die grens ligt waar de invloed van de wijziging eindigt, zoals aangetoond in de risicobeoordeling.
Safetyparameter wijzigen? Controleer de hele keten opnieuw
Een wijziging van F_WD_TIME betekent niet automatisch dat alle documentatie vanaf nul moet worden opgesteld. Maar als de wijziging leidt tot een substantiële wijziging, moet de technische documentatie de machine of het product omvatten waarvan de veiligheid door de wijziging is geraakt.
Een oud rapport van een uitlooptijdmeting kan nog steeds een correcte historische registratie zijn. Het bevestigt alleen niet automatisch de afstand van het veiligheidslichtscherm na wijziging van het safetyprogramma.
| Wat is gewijzigd? | Wat kan het gevolg zijn? | Wat moet opnieuw worden aangetoond? |
|---|---|---|
| F_WD_TIME of PROFIsafe-configuratie | Andere maximale reactietijd | Berekening van reactietijden voor het actuele ontwerp |
| Reactietijd of stoptijd | Andere afstand van het veiligheidslichtscherm | Uitlooptijdmeting en berekening volgens ISO 13855 |
| Veiligheidslichtscherm vervangen door afscherming met blokkeerinrichting en vergrendeling | Nieuwe gevaarlijke situaties en safetyfuncties | Risicobeoordeling, functiespecificatie en PLr |
| F-programma, blokkering of vergrendeling | Wijziging van SRP/CS | Verificatie van behaalde PL en validatie |
| Gemeenschappelijke toegang, reset of stopzone | Invloed op naastgelegen machines | Interfaceanalyse en scope volgens ISO 11161 |
| Voorwaarden voor substantiële wijziging vervuld | Fabrikantenverplichtingen | Conformiteitsbeoordeling en complete documentatie van het geraakte product |
Elk bewijsstuk beantwoordt een andere vraag. De reactietijdcalculator laat het gedrag van het besturingssysteem zien. De uitlooptijdmeting toont het werkelijke verdwijnen van de beweging. ISO 13855 zet tijd om naar afstand. De risicobeoordeling bepaalt of de gekozen maatregelen nog steeds de vereiste risicoreductie leveren.
Geen van deze bewijzen vervangt de andere.
Daarom moet elke wijziging van een parameter die de reactietijd raakt een helder spoor achterlaten: reden, configuratie vóór en na de wijziging, berekeningen, meetresultaten, risicobeoordeling, ontwerpbesluit en validatierapport.
Laat een spoor achter van parameterwijziging tot validatie
RT Calculator van Siemens helpt bij het berekenen van reactietijden. Maar de tool laat niet zien waarom een wijziging is geaccepteerd of welke gevolgen die in de volledige machine had.
Die beslisketen kun je structureren in Safety Software — risicobeoordeling machines. Een audittrail bewaart de historie van wijzigingen en onderbouwingen. Een machineaudit ordent bevindingen, corrigerende maatregelen en validatiebewijzen.
Samenvatting
Deze casus bewijst niet dat F_WD_TIME = 500 ms fout is. Hij laat iets belangrijkers zien: een parameter die de reactietijd beïnvloedt, kan eerdere veiligheidsaannames ongeldig maken.
De keten was eenvoudig:
wijziging F_WD_TIME → andere maximale reactietijd → grotere afstand van het veiligheidslichtscherm → geen ruimte → nieuwe afscherming met blokkeerinrichting en vergrendeling → aanpassing veiligheidssysteem
Bij K = 1600 mm/s betekent 350 ms extra totale tijd 560 mm extra vereiste afstand. Die uitkomst kun je niet kleiner maken omdat de hal te krap is. Als je de tijd niet kunt verkorten en het veiligheidslichtscherm niet kunt verplaatsen, moet het beschermingsconcept veranderen.
De watchdogwijziging op zichzelf bewijst geen substantiële wijziging. Maar hij kan wel een keten starten die aan alle voorwaarden voldoet: een digitale wijziging na het in de handel brengen of in gebruik nemen, niet voorzien door de fabrikant, verhoogd risico, een nieuwe beveiligingsmaatregel en aanpassing van het bestaande veiligheidsgerelateerde besturingssysteem.
De belangrijkste vraag is niet: mocht F_WD_TIME worden verhoogd? De vraag is: is na die wijziging de veiligheid van de machine opnieuw berekend, gemeten en bevestigd?
Als het antwoord steunt op actuele berekeningen, uitlooptijdmeting, risicobeoordeling en validatie, is de wijziging onder controle.
Als het antwoord nog steeds steunt op een oud rapport en de gedachte dat het veiligheidslichtscherm toch niet is verplaatst, begint precies daar het probleem.
Officiële bronnen
Siemens
- SIMATIC Safety — Configuring the monitoring times
- SIMATIC STEP 7 Safety Advanced — RT Calculator
- SIMATIC Safety — Response Times of Safety Functions
- Safety Function via IWLAN — voorbeeld voor TIA Portal V18
- SIMATIC Safety — system acceptance and verification of times
Recht van de Europese Unie
- Verordening (EU) 2023/1230 — actuele tekst
- Verordening (EU) 2023/1230 — overweging 26
- Gids bij de Machinerichtlijn 2006/42/EG
Normen gebruikt in de analyse
- ISO 12100 — risicobeoordeling en risicoreductie;
- ISO 13855 — positionering van technische beveiligingsmaatregelen;
- ISO 14119 — blokkeerinrichtingen gekoppeld aan afschermingen;
- ISO 14120 — ontwerp en bouw van afschermingen;
- ISO 13857 — veiligheidsafstanden ter voorkoming van reiken naar gevarenzones;
- ISO 13849-1 — ontwerp van veiligheidsgerelateerde delen van besturingssystemen;
- ISO 11161 — geïntegreerde productiesystemen.
Controleer vóór toepassing van een norm altijd de juiste editie voor het project, de nationale publicatie en de actuele basis voor het vermoeden van overeenstemming.